Linux/CentOS服务器安全配置通用指南

Linux 是一个开放式系统,可以在网络上找到许多现成的程序和工具,这既方便了用户,也方便了黑客,因为他们也能很容易地找到程序和工具来潜入 Linux 系统,或者盗取 Linux 系统上的重要信息。不过,只要我们仔细地设定 Linux 的各种系统功能,并且加上必要的安全措施,就能让黑客们无机可乘。

一般来说,对 Linux 系统的安全设定包括取消不必要的服务、限制远程存取、隐藏重要资料、修补安全漏洞、采用安全工具以及经常性的安全检查等。

本文是可参考的实际操作,不涉及如 IP 欺骗这样的原理,而且安全问题也不算几行命令就能预防的

这里只是 Linux 系统上基本的安全加固方法,后续有新的内容再添加进来。

注:所有文件在修改之前都要进行备份如

cp /etc/passwd{,.dist}

1. Linux禁用不使用的用户

注意:不建议直接删除,当你需要某个用户时,自己重新添加会很麻烦。也可以 usermod -Lpasswd -l user 锁定。

cp /etc/passwd{,.bak} 修改之前先备份

vi /etc/passwd 编辑用户,在前面加上#注释掉此行

注释的用户名:

# cat /etc/passwd|grep ^#
#adm:x:3:4:adm:/var/adm:/sbin/nologin
#lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
#shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
#halt:x:7:0:halt:/sbin:/sbin/halt
#uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
#operator:x:11:0:operator:/root:/sbin/nologin
#games:x:12:100:games:/usr/games:/sbin/nologin
#gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
#ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
#nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
#postfix:x:89:89::/var/spool/postfix:/sbin/nologin

Linux注释的组:

# cat /etc/group|grep ^#
#adm:x:4:adm,daemon
#lp:x:7:daemon
#uucp:x:14:
#games:x:20:
#gopher:x:30:
#video:x:39:
#dip:x:40:
#ftp:x:50:
#audio:x:63:
#floppy:x:19:
#postfix:x:89:

2. Linux关闭不使用的服务 

# chkconfig --list |grep '3:on'

邮件服务,使用公司邮件服务器:

service postfix stop
chkconfig postfix --level 2345 off

通用unix打印服务,对服务器无用:

service cups stop
chkconfig cups --level 2345 off

调节cpu速度用来省电,常用在Laptop上:

service cpuspeed stop
chkconfig cpuspeed --level 2345 off

蓝牙无线通讯,对服务器无用:

service bluetooth stop
chkconfig bluetooth --level 2345 off

系统安装后初始设定,第一次启动系统后就没用了:

service firstboot stop
chkconfig firstboot --level 2345 off

Linux关闭nfs服务及客户端:

service netfs stop
chkconfig netfs --level 2345 off
service nfslock stop
chkconfig nfslock --level 2345 off

如果要恢复某一个服务,可以执行下面操作:

service acpid start && chkconfig acpid on

也可以使用setup工具来设置

3. Linux禁用IPV6

IPv6是为了解决IPv4地址耗尽的问题,但我们的服务器一般用不到它,反而禁用IPv6不仅仅会加快网络,还会有助于减少管理开销和提高安全级别。以下几步在CentOS上完全禁用ipv6。

Linux禁止加载IPv6模块:

让系统不加载ipv6相关模块,这需要修改modprobe相关设定文件,为了管理方便,我们新建设定文件/etc/modprobe.d/ipv6off.conf,内容如下

alias net-pf-10 off
options ipv6 disable=1

Linux禁用基于IPv6网络,使之不会被触发启动:

# vi /etc/sysconfig/network
NETWORKING_IPV6=no

Linux禁用网卡IPv6设置,使之仅在IPv4模式下运行:

# vi /etc/sysconfig/network-scripts/ifcfg-eth0
IPV6INIT=no
IPV6_AUTOCONF=no

Linux关闭ip6tables:

# chkconfig ip6tables off

重启系统,验证是否生效:

# lsmod | grep ipv6
# ifconfig | grep -i inet6

如果没有任何输出就说明IPv6模块已被禁用,否则被启用。

4. Linux iptables规则

启用linux防火墙来禁止非法程序访问。使用iptable的规则来过滤入站、出站和转发的包。我们可以针对来源和目的地址进行特定udp/tcp端口的准许和拒绝访问。

关于防火墙的设置规则请参考博客文章 iptables设置实例。

5. Linux SSH安全

如果有可能,第一件事就是修改ssh的默认端口22,改成如20002这样的较大端口会大幅提高安全系数,降低ssh破解登录的可能性。

创建具备辨识度的应用用户如crm以及系统管理用户sysmgr

# useradd crm -d /apps/crm
# passwd crm

# useradd sysmgr
# passwd sysmgr

5.1 Linux只允许wheel用户组的用户su切换

# usermod -G wheel sysmgr

# vi /etc/pam.d/su
# Uncomment the following line to require a user to be in the "wheel" group.
auth      required    pam_wheel.so use_uid

其他用户切换root,即使输对密码也会提示 su: incorrect password

5.2 Linux登录超时

用户在线5分钟无操作则超时断开连接,在/etc/profile中添加:

export TMOUT=300
readonly TMOUT

5.3 Linux禁止root直接远程登录

# vi /etc/ssh/sshd_config
PermitRootLogin no

5.4 Linux限制登录失败次数并锁定

/etc/pam.d/login后添加

auth required pam_tally2.so deny=6 unlock_time=180 even_deny_root root_unlock_time=180

登录失败5次锁定180秒,根据需要设置是否包括root。

5.5 Linux登录IP限制

(由于要与某一固定IP或IP段绑定,暂未设置)

更严格的限制是在sshd_config中定死允许ssh的用户和来源ip:

## allowed ssh users sysmgr
AllowUsers sysmgr@172.29.73.*
或者使用tcpwrapper:

vi /etc/hosts.deny
sshd:all
vi /etc/hosts.allow
sshd:172.29.73.23
sshd:172.29.73.

6. Linux配置只能使用密钥文件登录

使用密钥文件代替普通的简单密码认证也会极大的提高安全性:

[dir@username ~]$ ssh-keygen -t rsa -b 2048
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):  //默认路径,回车
Enter passphrase (empty for no passphrase):   //输入你的密钥短语,登录时使用
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
3e:fd:fc:e5:d3:22:86:8e:2c:4b:a7:3d:92:18:9f:64 root@ibpak.tp-link.net
The key's randomart image is:
+--[ RSA 2048]----+
|         |
…
|   o++o..oo..o|
+-----------------+

将公钥重命名为authorized_key:

$ mv ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
$ chmod 600 ~/.ssh/authorized_keys

下载私钥文件 id_rsa 到本地(为了更加容易识别,可重命名为hostname_username_id_rsa),保存到安全的地方。以后 username 用户登录这台主机就必须使用这个私钥,配合密码短语来登录(不再使用 username 用户自身的密码)

另外还要修改/etc/ssh/sshd_config文件

打开注释

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile   .ssh/authorized_keys

我们要求 username 用户(可以切换到其他用户,特别是root)必须使用ssh密钥文件登录,而其他普通用户可以直接密码登录。因此还需在sshd_config文件最后加入:

Match User itsection
    PasswordAuthentication no

重启sshd服务

# service sshd restart

另外提醒一句,这对公钥和私钥一定要单独保存在另外的机器上,服务器上丢失公钥或连接端丢失私钥(或密钥短语),可能导致再也无法登陆服务器获得root权限!

7. Linux减少history命令记录

执行过的历史命令记录越多,从一定程度上讲会给维护带来简便,但同样会伴随安全问题

vi /etc/profile

找到 HISTSIZE=1000 改为 HISTSIZE=50

或每次退出时清理history,history -c

8. Linux增强特殊文件权限

给下面的文件加上不可更改属性,从而防止非授权用户获得权限

chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/group
chattr +i /etc/gshadow
chattr +i /etc/services #给系统服务端口列表文件加锁,防止未经许可的删除或添加服务
chattr +i /etc/pam.d/su
chattr +i /etc/ssh/sshd_config

显示文件的属性

lsattr /etc/passwd /etc/shadow /etc/services /etc/ssh/sshd_config

注意:执行以上 chattr 权限修改之后,就无法添加删除用户了。

如果再要添加删除用户,需要先取消上面的设置,等用户添加删除完成之后,再执行上面的操作,例如取消只读权限chattr -i /etc/passwd。(记得重新设置只读)

9. Linux防止一般网络攻击

网络攻击不是几行设置就能避免的,以下都只是些简单的将可能性降到最低,增大攻击的难度但并不能完全阻止。

9.1 Linux禁ping

阻止ping如果没人能ping通您的系统,安全性自然增加了,可以有效的防止ping洪水。为此,可以在/etc/rc.d/rc.local文件中增加如下一行:

# echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

或使用iptable禁ping:

iptables -A INPUT -p icmp --icmp-type 0 -s 0/0 -j DROP

不允许ping其他主机:

iptables -A OUTPUT -p icmp --icmp-type 8 -j DROP

9.2. Linux防止IP欺骗

编辑/etc/host.conf文件并增加如下几行来防止IP欺骗攻击。

order hosts,bind  #名称解释顺序
multi on      #允许主机拥有多个IP地址
nospoof on     #禁止IP地址欺骗

9.3 Linux防止DoS攻击

对系统所有的用户设置资源限制可以防止DoS类型攻击,如最大进程数和内存使用数量等。
可以在/etc/security/limits.conf中添加如下几行:

*  soft  core  0
*  soft  nproc  2048
*  hard  nproc  16384
*  soft  nofile 1024
*  hard  nofile 65536

core 0 表示禁止创建core文件;nproc 128 把最多的进程数限制到20;nofile 64 表示把一个用户同时打开的最大文件数限制为64;* 表示登录到系统的所有用户,不包括root

然后必须编辑/etc/pam.d/login文件检查下面一行是否存在。

session    required     pam_limits.so

limits.conf参数的值需要根据具体情况调整。

10. Linux修复已知安全漏洞

在linux上偶尔会爆出毁灭级的漏洞,如udevheartbleedshellshockghost等,如果服务器暴露在外网,一定及时修复。

11. Linux定期做日志安全检查

将日志移动到专用的日志服务器里,这可避免入侵者轻易的改动本地日志。下面是常见linux的默认日志文件及其用处:

/var/log/message – 记录系统日志或当前活动日志。
/var/log/auth.log – 身份认证日志。
/var/log/cron – Crond 日志 (cron 任务).
/var/log/maillog – 邮件服务器日志。
/var/log/secure – 认证日志。
/var/log/wtmp 历史登录、注销、启动、停机日志和,lastb命令可以查看登录失败的用户
/var/run/utmp 当前登录的用户信息日志,w、who命令的信息便来源与此
/var/log/yum.log Yum 日志。

参考 深度解析CentOS通过日志反查入侵。

11.1 Linux安装logwatch

Logwatch是使用 Perl 开发的一个日志分析工具。能够对Linux 的日志文件进行分析,并自动发送mail给相关处理人员,可定制需求。

Logwatch的mail功能是借助宿主系统自带的 mail server 发邮件的,所以系统需安装mail server , 如sendmail,postfix,Qmail等

安装和配置方法见博文 linux日志监控logwatch。

12.Linux web服务器安全

像apache或tomcat这样的服务端程序在配置时,如果有安全问题存在可以查阅文档进行安全加固。日后有时间再补充到新的文章。

更多Linux服务器安全配置方案请查看以下相关文章

(0)

相关推荐

  • Linux SSH 安全策略 限制 IP 登录方法

    方法一: 首先需要限制登录的ip(或者如果需要自己本地登录,查看最后登录ip即可) Vim /etc/hosts.allow 输入 sshd:114.80.100.159:allow vim /etc/hosts.deny 输入(表示除了上面允许的,其他的ip   都拒绝登陆ssh)    sshd:ALL 最后sshd重启 service sshd restart 方法二: 比如说你只允许114.80.100.159这个IP进入,其它都禁止: vim   /etc/ssh/sshd_confi

  • 服务器安全狗Linux版软件安装使用说明

    服务器安全狗Linux版(SafeDog for Linux Server)是为Linux服务器开发的一款服务器管理软件,它集成了系统参数快速设置,系统运行状态直观展示,系统状态实时监控,常用服务.设备或软件的快速安装和配置等功能,帮助管理员快速直观地管理服务器.本软件还提供了纯字符界面下的界面交互接口和详细的操作指引,使得管理员对服务器的状态更加了解,管理和配置服务器也更加简单. 系统快速配置 1.网络接口配置 界面显示系统各个网卡的IP,子网掩码,MAC地址,IP设置方式,网卡激活状态等信息

  • Linux下Nginx安全证书ssl配置方法

    分享下我是如何一步步在Nginx上配置SSL的.首先,确保安装了OpenSSL库,并且安装Nginx时使用了–with-http_ssl_module参数. 初学者或者菜鸟建议使用LNMP进行一键安装. 生成证书:进入要生成证书的目录cd /usr/local/nginx/conf 使用openssl创建创建服务器私钥,输入相应提示的信息 复制代码 代码如下: openssl genrsa -des3 -out server.key 1024 创建证书签名请求(Certificate Signi

  • 阿里云linux服务器上使用iptables设置安全策略的方法

    公司的产品一直运行在云服务器上,从而有幸接触过aws的ec2,盛大的云服务器,最近准备有使用阿里云的弹性计算(云服务器).前两种云服务器在安全策略这块做的比较好,提供简单明了的配置界面,而且给了默认的安全策略,反观阿里云服务器,安全策略需要自己去配置,甚至centos机器上都没有预装iptables(起码我们申请两台上都没有),算好可以使用yum来安装,安装命令如下: yum install -y iptables iptables安装好后就可以来配置规则了.由于作为web服务器来使用,所以对外

  • 教你如何搭建一个安全的Linux服务器教程

    要建立一个安全Linux服务器就首先要了解Linux环境下和网络服务相关的配置文件的含义及如何进行安全的配置.在Linux系统中,TCP/IP网络是通过若干个文本文件进行配置的,也许你需要编辑这些文件来完成联网工作,但是这些配置文件大都可以通过配置命令linuxconf (其中网络部分的配置可以通过netconf命令来实现).下面介绍基本的 TCP/IP网络配置文件. * /etc/conf.modules文件 该配置文件定义了各种需要在激活时加载的模块的参数信息.这里主要着重讨论关于网卡的配置

  • Linux SSH 安全策略 更改 SSH 端口

    默认的 SSH 端口是 22.强烈建议改成 10000 以上.这样别人扫描到端口的机率也大大下降.修改方法:# 编辑 /etc/ssh/ssh_config vim /etc/ssh/ssh_config # 在 Host * 下 ,加入新的 Port 值.以 18439 为例: Port 22 Port 18439 # 编辑 /etc/ssh/sshd_config (同上2图) vim /etc/ssh/sshd_config #加入新的 Port 值 Port 22 Port 18439

  • Linux 服务器安全配置

    第一部分:RedHat Linux篇 1.概述 Linux服务器版本:RedHat Linux AS 对于开放式的操作系统---Linux,系统的安全设定包括系统服务最小化.限制远程存取.隐藏重要资料.修补安全漏洞.采用安全工具以及经常性的安全检查等.本文主要从用户设置.如何开放服务.系统优化等方面进行系统的安全配置,以到达使Linux服务器更安全.稳定. 2.用户管理 在 Linux系统中,用户帐号是用户的身份标志,它由用户名和用户口令组成.系统将输入的用户名存放在/etc/passwd文件中

  • linux服务器基本安全配置手册

    假如你想要搭建一个Linux服务器,并且希望可以长期维护的话,就需要考虑安全性能与速度等众多因素.一份正确的linux基本安全配置手册就显得格外重要.在我本文中就向大家介绍在edhat/centos 4,5下的Linux服务器基本安全配置手册. 安装注意 1.删除系统特殊的的用户帐号: 禁止所有默认的被操作系统本身启动的且不需要的帐号,当你第一次装上系统时就应该做此检查,Linux提供了各种帐号,你可能不需要,如果你不需要这个帐号,就移走它,你有的帐号越多,就越容易受到攻击. #为删除你系统上的

  • 安全检测Unix和Linux服务器安全设置入门精讲

    其实每一个黑客都有自己独到的方法.笔者对于入侵网站服务器的资料收集了很多,但是因为实际情况的不同,往往造成许多方法的失效:由此可见,每一个网站的情况都不同,需要入侵者区分对待.假设深圳的线路比北京的线路要好的多,从而给了词典穷举很大的方便,深圳用户就可以依靠这个优势在线攻击口令,作为北京的用户就需要优先考虑其它办法了.针对这么多的入侵手段,笔者参考H ackalot先生这位黑客界名人的一篇文章给大家介绍一下入侵网站的基本步骤.   分析一部分的主页被黑的事例可以发现使用入侵者最热衷于入侵Web服

  • Red Hat Linux 安全设置方法

    Windows Server 2003 系统配置方案 网络安全是指网络系统的硬件.软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏.更改.泄露,系统连续可靠正常地运行,网络服务不中断. 网络安全从其本质上来讲就是网络上的信息安全.从广义来说,凡是涉及到网络上信息的保密性.完整性.可用性.真实性和可控性的相关技术和理论都是网络安全的研究领域. 1,最小化安全系统,删除不必要的软件,关闭不必要的服务. # ntsysv以下仅列出需要启动的服务,未列出的服务一律推荐关闭,必要运行的服务

  • linux服务器下PHPCMS v9 安全配置详解

    一.目录权限设置很重要:可以有效防范黑客上传木马文件. 如果通过 chmod 644 * -R 的话,php文件就没有权限访问了. 如果通过chmod 755 * -R 的话,php文件的权限就高了. 所以就需要分开设置目录权限和文件权限: linux 服务器权限:经常要用到的命令: find /path -type f -exec chmod 644 {} \; //设置文件权限为644 find /path -type d -exec chmod 755 {} \; //设置目录权限为755

  • linux服务器安全加固shell脚本代码

    复制代码 代码如下: #!/bin/sh# desc: setup linux system security# author:coralzd # powered by www.freebsdsystem.org# version 0.1.2 written by 2011.05.03#account setup passwd -l xfspasswd -l newspasswd -l nscdpasswd -l dbuspasswd -l vcsapasswd -l gamespasswd -

  • Linux VPS安全设置之一 修改SSH端口(CentOS/Debian)

    老左在之前的不少文章中已经分享过在centos或者在debian环境下安装lnmp和llsmp的教程,老左用人格担保肯定是可行的,因为我都是在实战操作后截图及写下来的文章.可以让VPS初学者手把手的学习如何在Linux VPS上安装系统及建立网站.老左第一次使用VPS不会安装环境,准备请一个网友安装,还准备收费50元,鉴于此我就自学. 我们在学会了VPS的安装和建站之后,肯定需要附带学习VPS的安全设置.因为VPS和主机不同,主机商可能会给我们备份,而且主机的安全性都有主机商承担.但是,如果现在

  • linux Apache服务器系统安全设置与优化第1/3页

    Apache服务器的设置文件位于/usr/local/apache/conf/目录下,传统上使用三个配置文件httpd.conf, access.conf和srm.conf, 来配置Apache服务器的行为.httpd.conf提供了最基本的服务器配置,是对守护程序 httpd如何运行的技术描述;srm.conf是服务器的资源映射文件,告诉服务器各种文件的MIME类型,以及如何支持这些文件; access.conf用于配置服务器的访问权限,控制不同用户和计算机的访问限制;这三个配置文件控制着服务

  • Linux服务器下nginx的安全配置详解

    Nginx是一个轻量级,高性能的Web服务器/反向代理和电子邮件 代理(IMAP/POP3),它可以运行在UNIX,GNU/Linux,BSD变种,MAC OS X,Solaris和Microsoft Windows上.根据Netcraft的调查数据显示,互联网上6%的域名都使用了Nginx Web服务器.Nginx是解决C10K问题的服务器之一,与传统服务器不一样,Nginx不依赖于线程处理请求,相反,它使用了一个更具扩展性的事件驱 动(异步)架构.Nginx在很多高流量网站上得到了应用,如W

  • centos 5.1下的安全设置(适合所有的linux版本)

    在 一般情况下,一般用户通过执行"su -"命令.输入正确的root密码,可以登录为root用户来对系统进行管理员级别的配置.但是,为了更进一步加强系统的安全性,有必要建立一个管理员的 组,只允许这个组的用户来执行"su -"命令登录为root用户,而让其他组的用户即使执行"su -".输入了正确的root密码,也无法登录为root用户.在UNIX下,这个组的名称通常为"wheel". 首先我们创建两个普通的用户tom joh

  • Linux VPS安全设置之二 禁用ROOT账户

    继前一篇"修改SSH端口"设置我们的Linux VPS安全性能之后,今天继续完成其他方法.不管是想尝试入侵我们网站是软件扫描,还是人为的操作端口的扫描弱命令是一种方法,其次就是猜测ROOT权限账户.一般的我们使用账户登陆都直接用ROOT登陆.如果我们把ROOT账户禁用,添加一个自己知道的账户,那VPS的安全入口基本完成.至少猜测密码的事情是完成不了. 第一步,我们先SSH 登陆VPS. useradd laozuo #添加用户名passwd laozuo #为laozuo用户名设置密码

  • Linux下的Apache与PHP安全设置技巧

    (1) safe_mode: 以安全模式运行php; 在php.ini文件中使用如下 safe_mode = On (使用安全模式) safe_mode = Off (关闭安全模式) 在apache的httpd.conf中VirtualHost的相应设置方法 php_admin_flag safe_mode On (使用安全模式) php_admin_flag safe_mode Off (关闭安全模式) 或者: php_admin_value safe_mode 1 (使用安全模式) php_

随机推荐